Profilage : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le profilage est l'utilisation automatisée de données personnelles pour évaluer certains aspects d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, son comportement ou ses déplacements.
Ce qu'il faut comprendre
Le profilage est défini à l'article 4 du RGPD. Il suppose trois éléments : un traitement automatisé, portant sur des données personnelles, dont l'objectif est d'évaluer, d'analyser ou de prédire des caractéristiques d'une personne. La segmentation de clients selon leur pouvoir d'achat, le scoring de prospects ou l'évaluation automatique de la performance de salariés en sont des exemples.
Le profilage n'est pas interdit. Il doit reposer sur une base légale, être annoncé dans les mentions d'information et respecter les principes de minimisation et d'exactitude. La personne peut s'opposer au profilage fondé sur l'intérêt légitime et, sans justification, au profilage lié à la prospection. Elle peut aussi, au titre du droit d'accès, demander à connaître les catégories de données utilisées et le profil qui lui a été attribué.
Profilage et décision automatisée ne se confondent pas. Le profilage est une technique d'analyse ; la décision automatisée est l'étape où une conséquence est tirée sans humain. Seule la seconde est encadrée par l'interdiction de principe de l'article 22, quand elle produit des effets significatifs. Le profilage à grande échelle peut rendre obligatoire une analyse d'impact et, lorsqu'il constitue une activité de base, la désignation d'un DPO.
Exemple concret
Une mutuelle santé de taille moyenne souhaite classer ses adhérents selon leur risque de résiliation, à partir de leurs réclamations et de leurs remboursements. Ce classement est un profilage. Elle en informe les adhérents dans sa politique de confidentialité, écarte les données de santé non nécessaires, réalise une analyse d'impact et réserve la décision commerciale à un conseiller.
Textes de référence
- RGPD, art. 4, 4)
- RGPD, art. 21
- RGPD, art. 22
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
